【分享】FTP服务器架设 （架设篇，管理篇，安全篇）

fengye6518

  FTP服务器架设－－架设篇
　架设一台ＦＴＰ服务器其实很简单。首先，要保证你的机器能上网，而且有不低于ＡＤSL ５１２Ｋｂｐｓ的网络速度。其次，硬件性能要能满足你的需要。最后，需要安装ＦＴＰ服务器端的软件，这类软件很多，可以使用微软的ＩＩＳ（Ｉｎｔｅｒｎｅｔ
                 Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｒｖｅｒ
                 因特网信息服务系统），也可以使用专业软件。不同的软件提供的功能不同，适应的需求和操作系统也不同。一般来说，系统最低要求如下：
                 ＣＰＵ：ＰⅢ ４５０ＭＨｚ以上
                 内存：２５６ＭＢ ＳＤＲＡＭ以上
                 带宽：ＡＤＳＬ ５１２Ｋｂｐｓ以上
                 至于操作系统，Ｗｉｎｄｏｗｓ
                 ９８／Ｍｅ／ＮＴ／２０００／ＸＰ均可，如果对服务器的性能和安全性要求很低，可以采用Ｗｉｎｄｏｗｓ ９８和Ｗｉｎｄｏｗｓ
                 Ｍｅ。本文中，如无特殊说明，均以Ｗｉｎｄｏｗｓ ＸＰ专业版为操作系统，其余操作系统下ＦＴＰ服务器的架设及设置均大同小异。

                 　　一、用ＩＩＳ架设

                 　　如果只是想建个小型的同时在线用户数不超过１０个的ＦＴＰ服务器，且不会同时进行大流量的数据传输，可以用ＩＩＳ
                 ５．０作为服务器软件来架设（ＩＩＳ只适用于Ｗｉｎｄｏｗｓ ＮＴ／２０００／ＸＰ操作系统）。

                 　　１．安装

                 　　Ｗｉｎｄｏｗｓ
                 ＸＰ默认安装时不安装ＩＩＳ组件，需要手工添加安装。进入控制面板，找到“添加／删除程序”，打开后选择“添加／删除Ｗｉｎｄｏｗｓ组件”，在弹出的“Ｗｉｎｄｏｗｓ组件向导”窗口中，将“Ｉｎｔｅｒｎｅｔ信息服务（ＩＩＳ）”项选中。在该选项前的“√”背景色是灰色的，这是因为Ｗｉｎｄｏｗｓ
                 ＸＰ默认并不安装ＦＴＰ服务组件。再点击右下角的“详细信息”，在弹出的“Ｉｎｔｅｒｎｅｔ信息服务（ＩＩＳ）”窗口中，找到“文件传输协议（ＦＴＰ）服务”，选中后确定即可。
                 安装完后需要重启。Ｗｉｎｄｏｗｓ ＮＴ／２０００和Ｗｉｎｄｏｗｓ ＸＰ的安装方法相同。
                 　　２．设置
                 　　
                 　　电脑重启后，ＦＴＰ服务器就开始运行了，但还要进行一些设置。点击“开始→所有程序→管理工具→Ｉｎｔｅｒｎｅｔ信息服务”，进入“Ｉｎｔｅｒｎｅｔ信息服务”窗口后，找到“默认ＦＴＰ站点”，右击鼠标，在弹出的右键菜单中选择“属性”。在“属性”中，我们可以设置ＦＴＰ服务器的名称、ＩＰ、端口、访问账户、ＦＴＰ目录位置、用户进入ＦＴＰ时接收到的消息等。

                 　　１）ＦＴＰ站点基本信息

                 　　进入“ＦＴＰ站点”选项卡，其中的“描述”选项为该ＦＴＰ站点的名称，用来称呼你的服务器，可以随意填，比如“我的小站”；“ＩＰ地址”为服务器的ＩＰ，系统默认为“

fengye6518

FTP服务器架设－－管理篇
          

                 　　架设好ＦＴＰ服务器后，怎样才能更好地管理自己的ＦＴＰ，使它性能稳定并合理占用机器资源和分配带宽呢？不同的ＦＴＰ服务器软件提供的管理方式、功能有所不同。

                 　　一、ＩＩＳ ＦＴＰ服务器的管理

                 　　ＩＩＳ虽然安装简单，但管理功能不强，只有简单的账户管理、目录权限设置、消息设置、连接用户管理。

                 　　１．账户管理

                 　　与Ｓｅｒｖ－Ｕ不同，ＩＩＳ对账户的管理按照Ｗｉｎｄｏｗｓ用户账户方式进行。如果要给ＦＴＰ服务器添加一个用户名和密码均为ｄｙｓ的授权账户，首先得在Ｗｉｎｄｏｗｓ中添加该账户。

                 　　１）在“管理工具”中打开“计算机管理”，找到“本地用户和组”下的“用户”，右击鼠标，选择“新用户”。

                 　　２）在弹出的“新用户”窗口中输入用户名和密码，确定后Ｗｉｎｄｏｗｓ就会创建该用户。

                 　　３）在“管理工具”中打开“Ｉｎｔｅｒｎｅｔ信息服务”，进入“默认ＦＴＰ站点”的“属性”设置窗口，在“安全账户”选项卡中找到“ＦＴＰ站点操作员”。在这里可以看到，系统已经默认“Ａｄｍｉｎｉｓｔｒａｔｏｒｓ”组所有成员为授权账户。如果你用的是Ｗｉｎｄｏｗｓ
                 ２０００服务器版，可以点旁边的“添加”按钮，将ｄｙｓ账户添加进去，如果不是，则“添加”和“删除”按钮为灰色，不可选。能不能将ｄｙｓ账户添加进去呢？当然可以。
                 　　４）回到“计算机管理”，右击刚才创建的用户名，打开“属性”设置，在“隶属于”选项卡中先将默认的“Ｕｓｅｒｓ”组删除，再点“添加”，在弹出的“选择组”窗口中点“高级→立即查找”，在搜索结果中选择“Ａｄｍｉｎｉｓｔｒａｔｏｒｓ”组，然后确定就可以了。

                 　　５）要删除某个账户，直接在“计算机管理”中删除即可。

                 　　提示：这样做的缺点在于如果不是Ｗｉｎｄｏｗｓ
                 ２０００服务器版，则你每添加一个账户，该账户就自动拥有系统管理员“Ａｄｍｉｎｉｓｔｒａｔｏｒ”的所有权限。可以想象，一旦账户密码失窃将带来很大的安全隐患。
                 　　２．目录管理

                 　　１）设置虚拟目录

                 　　很多时候，上传的文件多了，架设服务器当初设定的主目录所在盘空间往往就不够了，怎么办？这就需要设置虚拟目录。虚拟目录就是将其他目录以映射的方式虚拟到该ＦＴＰ服务器的主目录下，这样，一个ＦＴＰ服务器的主目录实质上就可以包括很多不同盘符、不同路径的目录，而不会受到所在盘空间的限制了。当用户登录到主目录下，还可以根据该账户的权限对它进行相应的操作，就像操作主目录下的子目录一样。如果用户被锁定在主目录下，这项功能将允许他们访问主目录之外的其它目录。
                 　　这里我们假设要将Ｄ

fengye6518

其中，以％开头的都是一些变量（更多的变量请查询Ｓｅｒｖ－Ｕ的帮助文件），×××可以改成你的名字，也可以加上一些你喜欢的文字，但每行以不超过７０个英文字符为宜。在“开始标记信息”中输入ｌｏｇｏｎ．ｔｘｔ文件的地址，保存后用ＣｕｔｅＦＴＰ登录．这样，对于要上传文件的用户来说，服务器还剩余多少空间可供上传就一目了然了。

                 　　提示：对于每个账户也可以设置当该用户用此账户登录时出现的提示信息。在此账户的“常规”选项卡中找到“登录消息文件”，选择好消息文件目录即可。这样的好处在于：我们可以设置一个专门用来上传的账户，然后只将有关上传方面的相关详细信息设置成消息文件，供上传账户用户参考。

                 ５．上传／下载率的设置

                 　　每个用户的设置选项中都有一个“上传／下载率”选项卡。所谓“上传／下载率”，实际上就是对用户上传下载文件的一种信用机制。作为站长，都希望用户能够上传一些有价值的东西供大家共享，而不仅仅只是使用ＦＴＰ提供的资源。通过设置“上传和下载比例”，站长可以限制使用ＦＴＰ的用户每上传一个文件后可以下载的文件数。启用上传／下载比率后，Ｓｅｒｖ－Ｕ提供了四种计数方式：
                 　　“计数每个任务文件”：计算该比率下每个单独ＦＴＰ任务的已上传／下载的文件；

                 　　“计数每个任务的字节”：计算该比率下每个单独ＦＴＰ任务的上传／下载文件的字节；

                 　　“计数所有任务文件”：计算该比率下所有ＦＴＰ任务的已上传／下载的文件；

                 　　“计数所有任务的字节”：计算该比率下所有ＦＴＰ任务的已上传／下载文件的字节。

                 　　以“计数每个任务文件”为例，如果在“比率”选项中，“上传”设为１，“下载”设为４，则该账户每上传１个文件，就可以从ＦＴＰ中下载４个文件。
                 但“上传／下载率”存在一个问题：假如ＦＴＰ中有某个目录或文件不需要计入上传／下载率，怎么办？我们可以在“设置”中的“上传／下载率”选项卡中设置。点击“添加”，输入不需计入的目录或文件，确定即可。如果有多个目录或文件，则重复此操作。

                 　　６．用户配额管理

                 　　利用“上传／下载率”可以有效地激励用户为获得下载权限而积极上传，但新的问题也随之而来：随着用户上传文件的增多，硬盘的空间很快就会被这些文件占用，如果某个用户上传的文件特别多，在硬盘空间不变的情况下，则又会影响到其他用户对可供上传空间大小的支配。这时，就需要进行用户配额管理了。

                 　　与“上传／下载率”相同，Ｓｅｒｖ－Ｕ可以给每个用户分配一个磁盘配额。选择要设置的用户，在“配额”中将“启用磁盘配额”选中。点击下方的“计算当前”按钮，“当前”中就会显示该用户账号当前可用的硬盘空间，在“最大”中填入分配给此用户账号所能支配的最大硬盘空间。注意，这里的单位是ＫＢ。

                 　　７．管理活动用户

                 　　林子大了，什么鸟儿都有。并不是每个登录到ＦＴＰ服务器的用户都是循规蹈矩的，这就需要站长对连接到本服务器的在线用户进行管理。点击主界面左侧“域”下的“活动”，在右边的窗口“用户”选项卡中进行管理。选中其中某个用户，点右键，就会在弹出的菜单中显示出可以进行的操作。

                 　　“重载信息”：用于重新载入该用户信息，相当于刷新。

                 　　“发送消息”：向当前所选用户发送文本消息，发出的消息将在用户的ＦＴＰ客户端软件中的状态窗口中出现。

                 　　“广播”：向当前所有活动用户发送文本消息。

                 　　“停止传送”：如果用户当前正在上传或下载文件，则可以中止此上传或下载操作，但不将该用户踢除服务器。

                 　　“踢除用户”：不管用户是否在上传或下载文件，将该用户踢除本服务器。
                 　　“监视用户”：对该用户所有操作进行实时监视，但不对该用户执行其它任何管理命令。选中后，会在“域日志”选项卡旁多出一个以该用户账户命名的选项卡，里面实时显示该用户的所有操作信息。要关闭监视，右击选项卡，选“关闭监视”即可。

                 　　“域日志”选项卡用来实时记录每个登录到本服务器的用户使用的账户名、登录时间、ＩＰ地址和退出服务器时间，便于站长了解本服务器登录用户的基本情况。默认情况下，该日志是实时更新的，但如果将旁边的“冻结”选中，就会停止更新。
                 提示：监视一个用户将占用服务器较大的资源，如果活动用户数比较多，请谨慎使用此功能。

                 　　８．编辑ＩＰ访问规则

                 　　对于某些扰乱服务器秩序但又不方便删除其账户的用户，可以利用“编辑ＩＰ访问规则”允许或阻止特定的ＩＰ访问。Ｓｅｒｖ－Ｕ对用户ＩＰ访问规则的设置相当灵活，不仅可以设置允许访问本服务器的用户ＩＰ，也可以设置拒绝访问的用户ＩＰ；不仅可对每个账户进行单独编辑，也可对整个服务器所有账户进行统一编辑，还支持“

fengye6518

FTP服务器架设－－安全篇
　既然是公网ＦＴＰ服务器，就难免会遭遇一些恶意攻击，轻则丢失文件，重则造成ＦＴＰ服务器甚至整个系统崩溃。怎样才能最大限度地保证它的安全性呢？

                 　　一、操作系统的选择

                 　　ＦＴＰ服务器首先是基于操作系统而运作的，因而操作系统本身的安全性就决定了ＦＴＰ服务器安全性的级别。虽然Ｗｉｎｄｏｗｓ
                 ９８／Ｍｅ一样可以架设ＦＴＰ服务器，但由于其本身的安全性就不强，易受攻击，因而最好不要采用。Ｗｉｎｄｏｗｓ
                 ＮＴ就像鸡肋，不用也罢。最好采用Ｗｉｎｄｏｗｓ
                 ２０００及以上版本，并记住及时打上补丁。至于Ｕｎｉｘ、Ｌｉｎｕｘ，则不在讨论之列。

                 　　二、使用防火墙

                 　　端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全，一般来说，仅打开你需要使用的端口，将其他不需要使用的端口屏蔽掉会比较安全。限制端口的方法比较多，可以使用第三方的个人防火墙，如天网个人防火墙等，这里只介绍Ｗｉｎｄｏｗｓ自带的防火墙设置方法。

                 　　１．利用ＴＣＰ／ＩＰ筛选功能

                 　　在Ｗｉｎｄｏｗｓ ２０００和Ｗｉｎｄｏｗｓ
                 ＸＰ中，系统都带有ＴＣＰ／ＩＰ筛选功能，利用它可以简单地进行端口设置。以Ｗｉｎｄｏｗｓ
                 ＸＰ为例，打开“本地连接”的属性，在“常规”选项中找到“Ｉｎｔｅｒｎｅｔ协议（ＴＣＰ／ＩＰ）”，双击它打开该协议的属性设置窗口。点击右下方的“高级”按钮，进入“高级ＴＣＰ／ＩＰ设置”。在“选项”中选中“ＴＣＰ／ＩＰ筛选”并双击进入其属性设置。这里我们可以设置系统只允许开放的端口，假如架设的ＦＴＰ服务器端口为２１，先选中“启用ＴＣＰ／ＩＰ筛选（所有适配器）”，再在ＴＣＰ端口选项中选择“只允许”，点“添加”，输入端口号２１，确定即可。这样，系统就只允许打开２１端口。要开放其他端口，继续添加即可。这可以有效防止最常见的１３９端口入侵。缺点是功能过于简单，只能设置允许开放的端口，不能自定义要关闭的端口。如果你有大量端口要开放，就得一个个地去手工添加，比较麻烦。
                 　　２．打开Ｉｎｔｅｒｎｅｔ连接防火墙

                 　　对于Ｗｉｎｄｏｗｓ
                 ＸＰ系统，自带了“Ｉｎｔｅｒｎｅｔ连接防火墙”功能，与ＴＣＰ／ＩＰ筛选功能相比，设置更方便，功能更强大。除了自带防火墙端口开放规则外，还可以自行增删。在控制面板中打开“网络连接”，右击拨号连接，进入“高级”选项卡，选中“通过限制或阻止来自Ｉｎｔｅｒｎｅｔ的对此计算机的访问来保护我的计算机和网络”，启用它。系统默认状态下是关闭了ＦＴＰ端口的，因而还要设置防火墙，打开所使用的ＦＴＰ端口。点击右下角的“设置”按钮进入“高级设置”，选中“ＦＴＰ服务器”，编辑它。由于ＦＴＰ服务默认端口是２１，因而除了ＩＰ地址一栏外，其余均不可更改。在ＩＰ地址一栏中填入服务器公网ＩＰ，确定后退出即可即时生效。如果架设的ＦＴＰ服务器端口为其他端口，比如２２，则可以在“服务”选项卡下方点“添加”，输入服务器名称和公网ＩＰ后，将外部端口号和内部端口号均填入２２即可。

                 　　三、对ＩＩＳ、Ｓｅｒｖ－Ｕ等服务器软件进行设置

                 　　除了依靠系统提供的安全措施外，就需要利用ＦＴＰ服务器端软件本身的设置来提高整个服务器的安全了。

                 　　１．ＩＩＳ的安全性设置

                 　　１）及时安装新补丁

                 对于ＩＩＳ的安全性漏洞，可以说是“有口皆碑”了，平均每两三个月就要出一两个漏洞。所幸的是，微软会根据新发现的漏洞提供相应的补丁，这就需要你不断更新，安装最新补丁。

                 　　２）将安装目录设置到非系统盘，关闭不需要的服务

                 一些恶意用户可以通过ＩＩＳ的溢出漏洞获得对系统的访问权。把ＩＩＳ安放在系统分区上，会使系统文件与ＩＩＳ同样面临非法访问，容易使非法用户侵入系统分区。另外，由于ＩＩＳ是一个综合性服务组件，每开设一个服务都将会降低整个服务的安全性，因而，对不需要的服务尽量不要安装或启动。

                 　　３）只允许匿名连接

                 ＦＴＰ最大的安全漏洞在于其默认传输密码的过程是明文传送，很容易被人嗅探到。而ＩＩＳ又是基于Ｗｉｎｄｏｗｓ用户账户进行管理的，因而很容易泄漏系统账户名及密码，如果该账户拥有一定管理权限，则更会影响到整个系统的安全。设置为“只允许匿名连接”，可以免却传输过程中泄密的危险。进入“默认ＦＴＰ站点”，在属性的“安全账户”选项卡中，将此选项选中。

                 　　４）谨慎设置主目录及其权限

                 　　ＩＩＳ可以将ＦＴＰ站点主目录设为局域网中另一台计算机的共享目录，但在局域网中，共享目录很容易招致其他计算机感染的病毒攻击，严重时甚至会造成整个局域网瘫痪，不到万不得已，最好使用本地目录并将主目录设为ＮＴＦＳ格式的非系统分区中。这样，在对目录的权限设置时，可以对每个目录按不同组或用户来设置相应的权限。右击要设置的目录，进入“共享和安全→安全”中设置，如非必要，不要授予“写入”权限。
                 　　５）尽量不要使用默认端口号２１

                 启用日志记录，以备出现异常情况时查询原因。

                 　　２．Ｓｅｒｖ－Ｕ的安全性设置

                 与ＩＩＳ的ＦＴＰ服务相比，Ｓｅｒｖ－Ｕ在安全性方面做得比较好。

                 　　１）对“本地服务器”进行设置

                 　　首先，选中“拦截ＦＴＰ＿ｂｏｕｎｃｅ攻击和ＦＸＰ”。什么是ＦＸＰ呢？通常，当使用ＦＴＰ协议进行文件传输时，客户端首先向ＦＴＰ服务器发出一个“ＰＯＲＴ”命令，该命令中包含此用户的ＩＰ地址和将被用来进行数据传输的端口号，服务器收到后，利用命令所提供的用户地址信息建立与用户的连接。大多数情况下，上述过程不会出现任何问题，但当客户端是一名恶意用户时，可能会通过在ＰＯＲＴ命令中加入特定的地址信息，使ＦＴＰ服务器与其它非客户端的机器建立连接。虽然这名恶意用户可能本身无权直接访问某一特定机器，但是如果ＦＴＰ服务器有权访问该机器的话，那么恶意用户就可以通过ＦＴＰ服务器作为中介，仍然能够最终实现与目标服务器的连接。这就是ＦＸＰ，也称跨服务器攻击。选中后就可以防止发生此种情况。

                 　　其次，在“高级”选项卡中，检查“加密密码”和“启用安全”是否被选中，如果没有，选择它们。“加密密码”使用单向ｈａｓｈ函数（ＭＤ５）加密用户口令，加密后的口令保存在ＳｅｒｖＵＤａｅｍｏｎ．ｉｎｉ或是注册表中。如果不选择此项，用户口令将以明文形式保存在文件中；“启用安全”将启动Ｓｅｒｖ－Ｕ服务器的安全成功。

                 　　２）对域中的服务器进行设置

                 　　前面说过，ＦＴＰ默认为明文传送密码，容易被人嗅探，对于只拥有一般权限的账户，危险并不大，但如果该账户拥有远程管理尤其是系统管理员权限，则整个服务器都会被别人远程控制。Ｓｅｒｖ－Ｕ对每个账户的密码都提供了以下三种安全类型：规则密码、ＯＴＰ
                 Ｓ／ＫＥＹ ＭＤ４和ＯＴＰ Ｓ／ＫＥＹ
                 ＭＤ５。不同的类型对传输的加密方式也不同，以规则密码安全性最低。进入拥有一定管理权限的账户的设置中，在“常规”选项卡的下方找到“密码类型”下拉列表框，选中第二或第三种类型，保存即可。注意，当用户凭此账户登录服务器时，需要ＦＴＰ客户端软件支持此密码类型，如ＣｕｔｅＦＴＰ
                 Ｐｒｏ等，输入密码时选择相应的密码类型方可通过服务器验证。

                 　　与ＩＩＳ一样，还要谨慎设置主目录及其权限，凡是没必要赋予写入等能修改服务器文件或目录权限的，尽量不要赋予。最后，进入“设置”，在“日志”选项卡中将“启用记录到文件”选中，并设置好日志文件名及保存路径、记录参数等，以方便随时查询服务器异常原因。